{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "zh/security_timeline.html",
  "language": "zh",
  "title": "安全时间线——《Steam》档案",
  "source_url": "https://phishdestroy.io/steam_dossier/zh/security_timeline",
  "source_html_sha256": "be093a5ebc7367875dbef34a51a2c5a25072ffb6cb1bb70942134c697805eb49",
  "exported_at": "2026-09-30T21:15:50.422Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/zh/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "afa676b3ba07a7fd8475732b1eda4bee311a35aafd0ed3967c70502852214ab9",
    "bytes": 507645,
    "pages": 6
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "安全记录展览 / 《16》参展作品\n\n2018 — 2026\n\n安全时间线——2018 至 2026\n\n安保措施发生了变化。 请参考记录。\n\n本节证明了什么\n\n这份时间线记录重构了Steam交易和身份验证体系在八年间的安全改进历程。它追踪了2018 7-的日交易持仓功能实施情况、2023 Web API的移动端关键确认机制，以及2026针对已记录绕过技术而进行的会话令牌弃用情况。该时间线表明，平台更新始终滞后于已知的漏洞利用途径，同时仍为商业运营商保留了结构性优势。\n\n← 返回高管简报\n\n交易锁定。登录控制。API 限制。一份过时的记录，记载了哪些内容发生了变化——以及相关资料实际上证实了什么。\n\n浏览时间轴 ↓\n八年。一张专辑。16需要审查的里程碑\n\n每条记录都会保留其提交日期和来源。验证结果会显示在记录旁边。\n\n已审核 / 24 9月2026\n10已确认的活动及日期\n06部分已核实\n00源不匹配\n00需要来源\n如何阅读此记录\n\n已核实的活动及日期： 这两点都有通俗易懂的一手资料作为依据。 部分已核实： 已记录了一项相关变更，但具体日期或范围尚未确定。 源代码不匹配： 所提供的链接材料无法支持所提出的主张。 需要来源： 本次审查中未核实到任何日期相符的来源。某条未得到证实的条目并不能证明该事件未曾发生。\n\n未解决条目中的日期为提交日期，而非经核实的发布日期。原始调查文本未作改写。\n\n年表\n01 — 16\n搜索记录主题证据订单\n\n16 16条目 · 按时间倒序排列\n\n202609-01提交日期\n社区部分已核实\n群聊中的可疑消息警告\n\n一份官方测试版公告证实，该功能将于31年8月上线。所提供的1年9月稳定版发布日期仍需具体的发布说明。\n\nSteam 客户端测试版——8月31日 ↗存档链接：2026-03-13 ↗\n原始条目及提交的链接\n\n可疑聊天自动标记\n\n检查提交的源代码 ↗\n202601-16验证日期\nAPI已确认的活动及日期\n发布者密钥的精细化权限控制与 IP 白名单功能（Valve 公告）\n\n16年1月2026,日，Valve发布了一则关于Steamworks的官方公告（“新功能：针对 Web API 密钥的更完善的权限和控制”) 证实了新的精细化权限管理工具，允许开发者将 Web API 密钥划分为独立的组（概述、微交易、经济系统及销售数据)，将密钥限制在特定的 App ID 范围内，并强制执行服务器 IP 白名单机制。\n\n赤裸裸的双重标准： 本官方公告确认，Valve 已全面开发了用于精细化 API 权限设置和 IP 限制的技术基础设施，但 故意不向普通用户账户提供这些功能（steamcommunity.com/dev/apikey). 普通用户API密钥仍然是单一的、非此即彼的凭证，且不支持IP白名单——而正是这一技术上的疏漏，催生了价值数百万美元的API交易拦截产业。\n\nValve 公告 — 新增功能：针对 Web API 密钥的更完善的权限和控制功能（16 Jan 2026） ↗· 文档：Steamworks Web API 身份验证 ↗\n原始条目及提交的链接\n\nSteamworks Web API 细粒度范围\n\n查看《Valve》的官方 Steamworks 公告（493839547938902179）↗\n202507-15验证日期\n交易已确认的活动及日期\nCS2交易获得七天反转窗口\n\nValve 发布的公告中提到，将撤销过去七天内的《反恐精英》道具交易。虽然此举旨在遏制账户劫持行为，但第三方经济审计（CSMarketCap ↗) 记录了 $104M (-25%) 折叠 由于现金交易中断，24小时内市值出现波动。据分析显示， Skinvault ↗，触发反向操作将导致该账户自动被30-日间交易禁令锁定。今年夏天，2026, Valve 将重置机制从全球统一的UTC午夜重置，改为针对每项操作的独立分钟计时器（Skin.land ↗).\n\nValve — 15 7月2025公告 ↗· CSMarketCap 分析 ↗\n原始条目及提交的链接\n\nCS2 交易保护 / 撤单窗口\n\n检查提交的源代码 ↗\n202505-14验证日期\n身份验证已确认的活动及日期\nValve 发布关于短信泄露的账户安全警告\n\nValve 于 5 月 14, 发布的官方公告 2025, 涉及账户安全及基于短信的身份验证器。尽管该公告主要关注短信泄露问题，并确认 Steam 系统未遭入侵，但它作为截至发布日期的官方安全更新具有重要意义。\n\nValve — 关于您的 Steam 账户安全的一则提示 ↗\n原始条目及提交的链接\n\n账户安全公告\n\n检查提交的源代码 ↗\n202410-02验证日期\n交易已确认的活动及日期\n再次交易或再次销售前的七天\n\n此版本说明涵盖了通过游戏内商店获得的物品，包括军械库、交易要约和社区市场。其涵盖范围不仅限于军械库中的物品。\n\nValve — 10/2/2024 版本说明 ↗\n原始条目及提交的链接\n\nCS2 军械库 / 7-Day Hold\n\n检查提交的源代码 ↗\n202409-18提交日期\n交易部分已核实\n已在“帮助页面”上验证了新设备限制\n\nSteam 的官方支持文档证实，当从一台至少 7 天未获授权的新设备登录时，7-会实施日内交易限制。虽然 9 月 18, 2024, 的确切上线日期并未作为变更日志中的里程碑记录，但该功能已在文档中进行了完整说明。\n\nSteam 支持 — 交易与市场限制 ↗\n原始条目及提交的链接\n\n新设备登录交易限制\n\n检查提交的源代码 ↗\n202402-14提交日期\n社区部分已核实\n在2024中实现了改名交易冷却时间\n\n社区和开发者记录证实，2024,年初，Valve在用户更改个人资料名称后，立即引入了一项未经预告的2-至4小时交易冷却期，以遏制快速冒充诈骗行为。由于Valve未就该限制发布任何官方新闻稿、客户端更新日志或支持文章，因此提交的2月14这一日期缺乏正式验证；Steam Workshop指南仅作为社区的间接佐证，而非官方Valve文档。\n\nSteam 研讨会指南（间接佐证）——更名限制详情 ↗\n原始条目及提交的链接\n\n个人资料名称/头像更改暂缓\n\n检查提交的源代码 ↗\n202312-04验证日期\nAPI已确认的活动及日期\n生成密钥需要手机验证\n\n根据第三方开发者库的记录，已证实Web API 密钥生成过程中强制使用Steam Guard移动端确认功能是在2023,晚些时候推出的。开发者社区观察到的具体推出时间段为12月4, 2023,。\n\n维护者文档 — 3月 2024 ↗存档 2026-09-24 ↗\n原始条目及提交的链接\n\nAPI密钥的手机验证\n\n检查提交的源代码 ↗\n202310-24验证日期\n开发者已确认的活动及日期\n关于设置正式服游戏版本的强制性2FA现已生效\n\nValve 于 10 月 10, 发布的官方 Steamworks 公告 2023, 确认，自 10 月 24, 起 2023,，任何在已发布应用程序的默认分支上将构建版本设为上线状态的账户，都必须通过短信或 Steam 移动应用授权该更改。此变更已直接更新了 SetAppBuildLive Web API。\n\nSteamworks — 针对构建和用户管理的安全性改进 ↗存档链接：2025-12-03 ↗\n原始条目及提交的链接\n\n游戏构建发布中的短信多因素认证（MFA）\n\n检查提交的源代码 ↗\n202307-12提交日期\n社区部分已核实\n社区观察到的自定义个人简介内容警告\n\nSteam 从7月开始，社区报告（2023）显示，包含外部链接或触发词的自定义个人简介开始显示自动生成的内容警告。提交日期为7月12,（2023,），这与Steam社区论坛上用户报告的最初一波时间相吻合。\n\nSteam 社区论坛 — 个人简介内容警告报告 ↗\n原始条目及提交的链接\n\n自定义个人简介内容警告\n\n检查提交的源代码 ↗\n202301-25提交日期\n社区部分已核实\n个人资料链接过滤和编辑的冷却时间已生效\n\nSteam的官方支持文档证实，自定义简介中的链接会受到过滤，而滥用名称或头像的行为可能会触发编辑禁令。虽然4-上1月25, 2023,实施的1小时冷却期标志着该功能的正式启用，但根据提交的帮助页面显示，链接过滤机制本身早已全面生效。\n\nSteam 支持 — 个人资料名称和头像限制 ↗\n原始条目及提交的链接\n\n个人资料链接已删除 / 冷却时间\n\n检查提交的源代码 ↗\n202210-24验证日期\n身份验证已确认的活动及日期\nSteam 客户端向 OAuth 刷新令牌和访问令牌的过渡\n\nValve 10月份的主要客户端和移动应用更新 2022 对 Steam 的身份验证系统进行了全面改造。旧的会话 Cookie 结构已被基于 OAuth 的访问令牌和刷新令牌所取代，并引入了“活跃授权设备”列表，以便手动撤销活跃会话。\n\nValve — Steam 移动应用更新及身份验证系统全面升级 ↗\n原始条目及提交的链接\n\nSteam 登录功能全面升级 / Cookie 截断\n\n查看Valve公告 ↗\n202210-12验证日期\n身份验证已确认的活动及日期\n二维码签到和授权设备管理\n\nValve 在 10 月发布的《12》公告中介绍了二维码签到、签到审批或拒绝，以及可用于撤销账户访问权限的设备列表。\n\nValve — 更新后的Steam移动应用现已上线 ↗\n原始条目及提交的链接\n\nSteam 移动应用 3.0 / 二维码登录\n\n检查提交的源代码 ↗\n202205-10提交日期\nAPI部分已核实\n已从公开的 API 列表中移除交易取消端点\n\n开发者记录证实，5月 2022, Valve 已悄然从 Web API 中移除了 IEconService/CancelTradeOffer 和 DeclineTradeOffer 等交易管理端点（详见 node-steam-tradeoffer-manager #325）。 尽管这些方法在私有客户端协议中仍可正常使用，但5月10, 2022,这一日期标志着它们已从公共Web API中正式移除，此举旨在打击诈骗面板。\n\n开发者讨论 — 问题编号 #325（已移除 CancelTradeOffer） ↗· Steamworks Web API — IEconService 文档 ↗\n原始条目及提交的链接\n\n删除交易取消端点\n\n查看 node-steam-tradeoffer-manager 问题 #325 ↗\n202005-25验证日期\n交易已确认的活动及日期\n《Dota》2中的道具将设有7天的交易冷却期\n\n5月25,，2020, 配合《国际邀请赛》10 战斗通行证的发布（blog.dota2.com/2020/05/the-international-10-battle-pass/），Valve 对《Dota》2 物品实施了7-天的交易锁定，该政策与2018《反恐精英》的政策保持一致。此限制适用于所有交易物品及市场购买的物品。\n\nDota 2 社区 — 交易锁定与 TI10 客户端更新 ↗\n原始条目及提交的链接\n\nDota 2 / 7-日内交易锁定\n\n检查提交的源代码 ↗\n201803-29验证日期\n交易已确认的活动及日期\n交易过的《CS:GO》道具将进入为期七天的冷却期\n\n官方发布说明确认了日期和限制条件。提供的网址重定向到了一个 2013 的地图更新页面；对应的发布说明网址以 20309. 结尾。\n\nValve — 3/29/2018 版本说明 ↗\n原始条目及提交的链接\n\nCS:GO / 《7-》日内交易锁定\n\n检查提交的源代码 ↗ 存档链接：2025-02-26 ↗\n\n遵循证据。核查来源。\n\n返回调查 ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "安全时间线——2018 至 2026"
      },
      {
        "level": 2,
        "id": null,
        "text": "年表"
      },
      {
        "level": 2,
        "id": null,
        "text": "群聊中的可疑消息警告"
      },
      {
        "level": 2,
        "id": null,
        "text": "发布者密钥的精细化权限控制与 IP 白名单功能（Valve 公告）"
      },
      {
        "level": 2,
        "id": null,
        "text": "CS2交易获得七天反转窗口"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve 发布关于短信泄露的账户安全警告"
      },
      {
        "level": 2,
        "id": null,
        "text": "再次交易或再次销售前的七天"
      },
      {
        "level": 2,
        "id": null,
        "text": "已在“帮助页面”上验证了新设备限制"
      },
      {
        "level": 2,
        "id": null,
        "text": "在2024中实现了改名交易冷却时间"
      },
      {
        "level": 2,
        "id": null,
        "text": "生成密钥需要手机验证"
      },
      {
        "level": 2,
        "id": null,
        "text": "关于设置正式服游戏版本的强制性2FA现已生效"
      },
      {
        "level": 2,
        "id": null,
        "text": "社区观察到的自定义个人简介内容警告"
      },
      {
        "level": 2,
        "id": null,
        "text": "个人资料链接过滤和编辑的冷却时间已生效"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam 客户端向 OAuth 刷新令牌和访问令牌的过渡"
      },
      {
        "level": 2,
        "id": null,
        "text": "二维码签到和授权设备管理"
      },
      {
        "level": 2,
        "id": null,
        "text": "已从公开的 API 列表中移除交易取消端点"
      },
      {
        "level": 2,
        "id": null,
        "text": "《Dota》2中的道具将设有7天的交易冷却期"
      },
      {
        "level": 2,
        "id": null,
        "text": "交易过的《CS:GO》道具将进入为期七天的冷却期"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/zh/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/zh/#vulnerability-profile"
    ]
  }
}